3.6 审计事件存储
a)审计信息应存储在永久性存储介质中。
b)审计信息应为人所能理解的。
3.7 通信抗抵赖
在VPN中，通信抗抵赖功能由以PKI为基础的CA认证系统作为可信第三方来支持。
3.7.1 抗原发抵赖
抗原发抵赖确保信息的发起者不能否认曾经发送过信息。要求VPN安全功能提供一种方法，确保接收信息的主体在数据交换期间获得了证明信息原发的证据。此证据可由该主体或客体或其他主体验证。在采用IKE协商安全参数时，在协商的两个阶段交换的消息中都应提供抗原发抵赖。可通过预共享密钥、公钥加密或数字签名等手段提供抗原发抵赖。
3.7.2 抗接收抵赖
接收抗抵赖确保信息的接收者不能否认对信息的接收。要求VPN安全功能提供一种方法，来确保发送信息的主体在数据交换期间获得了证明信息接收的证据，此证据可由该主体或其它主体验证。在采用IKE协商安全参数时，在协商的两个阶段交换的消息中都应提供抗接收抵赖。可通过预共享密钥、公钥加密或数字签名等手段提供抗接受抵赖。
3.8 访问控制
在VPN系统中，常用的访问控制策略为访问控制表（ACL），包括：
－目录表访问控制；
－存取控制表访问控制；
－访问控制矩阵访问控制等。
对于配置文件如安全策略数据库和安全关联数据库以及密钥等重要数据，只有VPN授权管理员才能访问。当VPN是基于某一具体的操作系统时，可借助操作系统的自主访问控制机制实施。
a)VPN系统的资源都应预先标出一组安全属性。用户对VPN资源的访问权限对应一张访问控制表，用以表明用户对VPN资源的访问能力。应规定以下权限：规定了VPN数据资源和文件、目录的查看与删除，以及执行文件、隐含文件、共享、系统属性等权限。
b)VPN系统中，对于VPN用户，应以组为单位规定对VPN资源访问控制策略。
c)对于VPN系统，其访问控制粒度应细化为单个用户。
d)为每个命名客体指定主体用户名和用户组，以及规定他们对VPN资源的访问级别。
3.9 用户数据保密性传输保护
3.9.1 VPN专用网络间数据传输保护
当数据在VPN专用网络间传输时，虚拟专用网设备应根据预定的安全策略数据库中定义的规则对数据进行加密保护。当未建立隧道时，通过手工设定密钥及安全关联参数，或者通过Internet密钥交换协议IKE动态协商密钥及安全关联参数。根据协商的密钥等参数对数据进行加密保护。应依据RFC2409和RFC2406进行具体实现。
3.9.2 专用网络向公用网络输出数据的保护
当数据从专用网络向公用网络输出数据时，VPN安全功能应根据预先在配置文件如安全策略数据库中对输出数据类型的安全属性设定的策略和敏感标记，确定是否需要加密等保护或直接转发、丢弃等。
3.9.3 公用网络向专用网络输入数据的保护
数据从公用网络向专用网络输入时，VPN安全功能应根据预先在配置文件如安全策略数据库中对输入数据类型所设定的敏感标记和策略进行处理，当是加密的隧道数据时，应从隧道中提取原始数据并进行解密，并将数据转发至专用网内正确的目的主机中。
3.10 密码支持
应根据密码强度与信息系统安全等级匹配的原则，按国家密码主管部门的规定分级配置密码管理。所用的密码强度应能抵御密码分析的攻击。VPN安全功能将根据符合国家标准的方法来管理密钥，包括密钥的产生、分发、访问及销毁。当采用PKI技术进行密钥的管理时，应按相关的PKI标准和CA实施管理，每个级别的要求应与相应的PKI标准的级别相符合。转 载:http://www.qqread.com/net-saft/a923124081.html 
更多内容请看VPN技术、路由安全配置专题、系统安全设置专题，或进入讨论组讨论。
相关专题
- 端口·木马·安全·扫描应用知识 (980次浏览)
- FTP服务器-架设-配置-漏洞-管理-安全精通篇 (386次浏览)
- FTP服务器架设－－安全篇 (189次浏览)
- Win2000安全设置手册 (84次浏览)
- Apache服务器的安全性及实现 (59次浏览)
- 全方位堵住Windows 2003的安全隐患 (51次浏览)
- 让我们认识病毒命名规则 (25次浏览)
- U盘病毒原理 (17次浏览)
- Windows系统用户摆脱黑客攻击的方法 (16次浏览)
- 反垃圾邮件技术：九个方法告别垃圾邮件 (16次浏览)
